Microsoft Entra 外部 ID 可讓您的組織管理客戶的身分識別，並安全地控制對公開應用程式和 API 的存取。 客戶可以購買產品、訂閱服務，或存取其帳戶和數據的應用程式。 您的客戶只需要登入裝置或網頁瀏覽器一次，並有權存取您授與他們許可權的所有應用程式。
若要讓應用程式使用外部識別碼登入，您必須使用外部識別元註冊您的應用程式。 應用程式註冊會建立應用程式與外部標識碼之間的信任關係。
在應用程式註冊期間，您可以指定重新導向 URI。 重新導向 URI 是使用者在驗證之後，由外部標識元重新導向的端點。 應用程式註冊程式會產生應用程式識別碼，也稱為用戶端標識符，可唯一識別您的應用程式。
外部標識碼支援各種新式應用程式架構的驗證，例如 Web 應用程式或單頁應用程式。 每個應用程式類型與外部租用戶的互動都不同，因此，您必須指定您要註冊的應用程式類型。
註冊您的單頁應用程式
外部標識碼支援單頁應用程式 （SPA） 的驗證。
下列步驟示範如何在 Microsoft Entra 系統管理中心註冊 SPA：
以至少應用程式開發人員身分登入 Microsoft Entra 系統管理中心。
如果您有多個租使用者的存取權，請使用頂端功能表中的 [設定] 圖示
，從 [目錄 + 訂用帳戶] 功能表切換至外部租使用者。
流覽至 [身分>識別應用程式> 應用程式註冊]。
選取 + 新增註冊。
在出現的 [註冊應用程式] 頁面 中，輸入應用程式的註冊資訊：
在 [ 名稱 ] 區段中，輸入向應用程式用戶顯示的有意義應用程式名稱，例如 ciam-client-app。
在 [支援的帳戶類型] 底下，選取 [僅在此組織目錄中的帳戶]。
在 [重新導向 URI（選擇性）] 下，選取 [單頁應用程式]，然後在 [URL] 方塊中輸入 http://localhost:3000/。
選取註冊。
註冊完成時，會顯示應用程式的 [ 概觀] 窗格 。 記錄要用於應用程式原始碼的目錄（租使用者）標識碼和應用程式（用戶端）標識碼。
關於重新導向 URI
重新導向 URI 是授權伺服器在完成與使用者互動之後，用戶傳送至的端點（在此案例中為 Microsoft Entra ID），並在成功授權時將存取令牌或授權碼傳送至該端點。
在生產應用程式中，它通常是應用程式執行所在的可公開存取端點，例如 https://contoso.com/auth-response。
在應用程式開發期間，您可以新增應用程式在本機接聽的端點，例如 http://localhost:3000. 您可以隨時在已註冊的應用程式中新增和修改重新導向 URI。
下列限制適用於重新導向 URI：
除非您使用localhost重新導向URL，否則回復URL必須以配置 https開頭。
回復 URL 會區分大小寫。 其大小寫必須符合執行中應用程式的 URL 路徑大小寫。 例如，如果您的應用程式在其路徑 .../abc/response-oidc中包含 ，請勿在回覆 URL 中指定 .../ABC/response-oidc 。 由於網頁瀏覽器會將路徑視為區分大小寫，因此如果重新導向至不相符.../ABC/response-oidc的 URL，則可能會排除與相關聯的 .../abc/response-oidc Cookie。
回復 URL 應包含或排除尾端正斜線，因為您的應用程式預期。 例如， https://contoso.com/auth-response 和 https://contoso.com/auth-response/ 可能會被視為應用程式中不相符的URL。
授與委派的許可權
此應用程式會登入使用者。 您可以遵循下列步驟，將委派的許可權新增至其中：
從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app），以開啟其 [概觀] 頁面。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [Microsoft API] 索引 標籤。
在 [常用 Microsoft API] 區段底下，選取 [Microsoft Graph]。
選取 [委派的許可權] 選項。
在 [選取許可權] 區段下，搜尋並選取 openid 和 offline_access 許可權。
選取 [ 新增許可權] 按鈕。
此時，您已正確指派許可權。 不過，由於租用戶是客戶的租使用者，因此取用者使用者本身無法同意這些許可權。 身為系統管理員必須代表租使用者中的所有使用者同意這些許可權：
- 選取 [授與租用戶名稱>的<管理員同意]，然後選取 [是]。
- 選取 [重新整理]，然後確認 [為租用戶名稱>授與] <出現在這兩個範圍的 [狀態] 底下。
授與 API 許可權（選擇性）：
如果您的 SPA 需要呼叫 API，您必須授與 SPA API 許可權，才能呼叫 API。 您也必須 註冊需要呼叫的 Web API 。
若要授與用戶端應用程式 （ciam-client-app） API 許可權，請遵循下列步驟：
從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app），以開啟其 [概觀] 頁面。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [Microsoft API] 索引 標籤。
在 [常用 Microsoft API] 區段底下，選取 [Microsoft Graph]。
選取 [委派的許可權] 選項。
在 [選取許可權] 區段下，搜尋並選取 openid 和 offline_access 許可權。
選取 [ 新增許可權] 按鈕。
在 [設定的許可權] 底下，再次選取 [新增許可權]。
選取 [我的組織使用的 API] 索引標籤。
在 API 清單中，選取 api，例如 ciam-ToDoList-api。
選取 [委派的許可權] 選項。
從許可權清單中，選取 [ToDoList.Read]、[ToDoList.ReadWrite ] （如有必要，請使用搜尋方塊）。
選取 [ 新增許可權] 按鈕。
此時，您已正確指派許可權。 不過，由於租用戶是客戶的租使用者，因此取用者使用者本身無法同意這些許可權。 若要解決此問題，身為系統管理員必須代表租使用者中的所有使用者同意這些許可權：
選取 [授與租用戶名稱>的<管理員同意]，然後選取 [是]。
選取 [重新整理]，然後確認 [為租用戶名稱>授與] <出現在這兩個範圍的 [狀態] 底下。
從 [設定的許可權] 清單中，選取 ToDoList.Read 和 ToDoList.ReadWrite 許可權，一次一個許可權，然後複製許可權的完整 URI 以供稍後使用。 完整權限 URI 看起來類似 api://{clientId}/{ToDoList.Read} 或 api://{clientId}/{ToDoList.ReadWrite}。
如果您想要瞭解如何藉由新增連結來公開許可權，請移至 [Web API ] 區段。
註冊 Web 應用程式
外部標識碼支援 Web 應用程式的驗證。
下列步驟說明如何在 Microsoft Entra 系統管理中心註冊 Web 應用程式：
以至少應用程式開發人員身分登入 Microsoft Entra 系統管理中心。
如果您有多個租使用者的存取權，請使用頂端功能表中的 [設定] 圖示，從 [目錄 + 訂用帳戶] 功能表切換至外部租使用者。
流覽至 [身分>識別應用程式> 應用程式註冊]。
選取 + 新增註冊。
在出現的 [註冊應用程式] 頁面 中，輸入應用程式的註冊資訊：
在 [ 名稱 ] 區段中，輸入向應用程式用戶顯示的有意義應用程式名稱，例如 ciam-client-app。
在 [支援的帳戶類型] 底下，選取 [僅在此組織目錄中的帳戶]。
在 [重新導向 URI（選擇性）] 下，選取 [Web]，然後在 [URL] 方塊中輸入 URL，http://localhost:3000/例如 。
選取註冊。
註冊完成時，會顯示應用程式的 [ 概觀] 窗格 。 記錄要用於應用程式原始碼的目錄（租使用者）標識碼和應用程式（用戶端）標識碼。
關於重新導向 URI
重新導向 URI 是授權伺服器在完成與使用者互動之後，用戶傳送至的端點（在此案例中為 Microsoft Entra ID），並在成功授權時將存取令牌或授權碼傳送至該端點。
在生產應用程式中，它通常是應用程式執行所在的可公開存取端點，例如 https://contoso.com/auth-response。
在應用程式開發期間，您可以新增應用程式在本機接聽的端點，例如 http://localhost:3000. 您可以隨時在已註冊的應用程式中新增和修改重新導向 URI。
下列限制適用於重新導向 URI：
除非您使用localhost重新導向URL，否則回復URL必須以配置 https開頭。
回復 URL 會區分大小寫。 其大小寫必須符合執行中應用程式的 URL 路徑大小寫。 例如，如果您的應用程式在其路徑 .../abc/response-oidc中包含 ，請勿在回覆 URL 中指定 .../ABC/response-oidc 。 由於網頁瀏覽器會將路徑視為區分大小寫，因此如果重新導向至不相符.../ABC/response-oidc的 URL，則可能會排除與相關聯的 .../abc/response-oidc Cookie。
回復 URL 應包含或排除尾端正斜線，因為您的應用程式預期。 例如， https://contoso.com/auth-response 和 https://contoso.com/auth-response/ 可能會被視為應用程式中不相符的URL。
新增委派的許可權
此應用程式會登入使用者。 您可以遵循下列步驟，將委派的許可權新增至其中：
從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app），以開啟其 [概觀] 頁面。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [Microsoft API] 索引 標籤。
在 [常用 Microsoft API] 區段底下，選取 [Microsoft Graph]。
選取 [委派的許可權] 選項。
在 [選取許可權] 區段下，搜尋並選取 openid 和 offline_access 許可權。
選取 [ 新增許可權] 按鈕。
此時，您已正確指派許可權。 不過，由於租用戶是客戶的租使用者，因此取用者使用者本身無法同意這些許可權。 身為系統管理員必須代表租使用者中的所有使用者同意這些許可權：
- 選取 [授與租用戶名稱>的<管理員同意]，然後選取 [是]。
- 選取 [重新整理]，然後確認 [為租用戶名稱>授與] <出現在這兩個範圍的 [狀態] 底下。
建立客戶端密碼
為已註冊的應用程式建立用戶端密碼。 應用程式會在要求令牌時，使用用戶端密碼來證明其身分識別。
- 從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app），以開啟其 [概觀] 頁面。
- 在 [管理] 下，選取 [憑證和密碼]。
- 選取 [新用戶端密碼]。
- 在 [ 描述 ] 方塊中，輸入用戶端密碼的描述（例如 ciam 應用程式用戶端密碼）。
- 在 [到期日] 底下，選取密碼有效的持續時間（根據您的組織安全性規則），然後選取 [新增]。
- 記錄祕密的 [值]。 您將會在稍後的步驟中使用此值進行設定。 在您離開 憑證和秘密之後，秘密值不會再次顯示，而且無法透過任何方式擷取。 請確定您記錄它。
授與 API 權限 （選擇性）
如果您的 Web 應用程式需要呼叫 API，您必須授與 Web 應用程式 API 許可權，才能呼叫 API。 您也必須 註冊需要呼叫的 Web API 。
若要授與用戶端應用程式 （ciam-client-app） API 許可權，請遵循下列步驟：
從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app），以開啟其 [概觀] 頁面。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [Microsoft API] 索引 標籤。
在 [常用 Microsoft API] 區段底下，選取 [Microsoft Graph]。
選取 [委派的許可權] 選項。
在 [選取許可權] 區段下，搜尋並選取 openid 和 offline_access 許可權。
選取 [ 新增許可權] 按鈕。
在 [設定的許可權] 底下，再次選取 [新增許可權]。
選取 [我的組織使用的 API] 索引標籤。
在 API 清單中，選取 api，例如 ciam-ToDoList-api。
選取 [委派的許可權] 選項。
從許可權清單中，選取 [ToDoList.Read]、[ToDoList.ReadWrite ] （如有必要，請使用搜尋方塊）。
選取 [ 新增許可權] 按鈕。
此時，您已正確指派許可權。 不過，由於租用戶是客戶的租使用者，因此取用者使用者本身無法同意這些許可權。 若要解決此問題，身為系統管理員必須代表租使用者中的所有使用者同意這些許可權：
選取 [授與租用戶名稱>的<管理員同意]，然後選取 [是]。
選取 [重新整理]，然後確認 [為租用戶名稱>授與] <出現在這兩個範圍的 [狀態] 底下。
從 [設定的許可權] 清單中，選取 ToDoList.Read 和 ToDoList.ReadWrite 許可權，一次一個許可權，然後複製許可權的完整 URI 以供稍後使用。 完整權限 URI 看起來類似 api://{clientId}/{ToDoList.Read} 或 api://{clientId}/{ToDoList.ReadWrite}。
註冊 Web API
以至少應用程式開發人員身分登入 Microsoft Entra 系統管理中心。
如果您有多個租使用者的存取權，請使用頂端功能表中的 [設定] 圖示，從 [目錄 + 訂用帳戶] 功能表切換至外部租使用者。
流覽至 [身分>識別應用程式> 應用程式註冊。
選取 + 新增註冊。
在出現的 [註冊應用程式] 頁面 中，輸入應用程式的註冊資訊：
在 [名稱] 區段中，輸入將向用戶顯示有意義的應用程式名稱，例如 ciam-ToDoList-api。
在 [支援的帳戶類型] 底下，選取 [僅在此組織目錄中的帳戶]。
選取 [暫存器] 以建立應用程式。
註冊完成時，會顯示應用程式的 [ 概觀] 窗格 。 記錄要用於應用程式原始碼的目錄（租使用者）標識碼和應用程式（用戶端）標識碼。
公開許可權
API 必須發佈至少一個範圍，也稱為 「委派許可權」，用戶端應用程式才能成功取得使用者的存取令牌。 若要發佈範圍，請遵循下列步驟：
從 [應用程式註冊] 頁面中，選取您建立的 API 應用程式 （ciam-ToDoList-api） 以開啟其 [概觀] 頁面。
在 [管理] 底下，選取 [公開 API]。
在頁面頂端的 [應用程式識別碼 URI] 旁，選取 [新增] 鏈接以產生此應用程式唯一的 URI。
接受建議的應用程式識別碼 URI，例如 api://{clientId}，然後選取 [ 儲存]。 當您的 Web 應用程式要求 Web API 的存取令牌時，它會新增 URI 作為您為 API 定義之每個範圍的前置詞。
在 [由此 API 定義的範圍] 底下，選取 [新增範圍]。
輸入下列定義 API 讀取權限的值，然後選取 [ 新增範圍 ] 以儲存變更：
| 屬性 |
數值 |
| 範圍名稱 |
ToDoList.Read |
| 有權同意者 |
僅限 管理員 |
| 管理員同意顯示名稱 |
使用 'TodoListApi' 讀取使用者ToDo清單 |
| 管理員同意描述 |
允許應用程式使用 『TodoListApi』 讀取使用者的 ToDo 清單。 |
| 州/省 |
已啟用 |
再次選取 [新增範圍 ]，然後輸入下列值來定義 API 的讀取和寫入存取範圍。 選取 [ 新增範圍 ] 以儲存變更：
| 屬性 |
數值 |
| 範圍名稱 |
ToDoList.ReadWrite |
| 有權同意者 |
僅限 管理員 |
| 管理員同意顯示名稱 |
使用 'ToDoListApi' 讀取和寫入使用者 ToDo list |
| 管理員同意描述 |
允許應用程式使用 『ToDoListApi』 讀取和寫入使用者的 ToDo 清單 |
| 州/省 |
已啟用 |
在 [管理] 底下，選取 [指令清單] 以開啟 API 指令清單編輯器。
將 屬性設定 accessTokenAcceptedVersion 為 2。
選取 [儲存]。
深入瞭解 發佈 Web API 許可權 時最低許可權的原則。
新增應用程式角色
API 必須針對應用程式發佈至少一個應用程式角色，也稱為 「應用程式許可權」，用戶端應用程式才能自行取得存取令牌。 應用程式許可權是 API 想要讓用戶端應用程式以自己身分成功驗證，而不需要登入使用者時，應該發佈的許可權類型。 若要發佈應用程式許可權，請遵循下列步驟：
從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-ToDoList-api），以開啟其 [概觀] 頁面。
在 [管理] 底下，選取 [應用程式角色]。
選取 [ 建立應用程式角色]，然後輸入下列值，然後選取 [ 套用 ] 以儲存變更：
| 屬性 |
數值 |
| Display name |
ToDoList.Read.All |
| 允許的成員類型 |
應用程式 |
| 值 |
ToDoList.Read.All |
| 描述 |
允許應用程式使用 『TodoListApi』 讀取每個使用者的 ToDo 清單 |
再次選取 [建立應用程式角色]，然後輸入下列第二個應用程式角色 的值，然後選取 [ 套用 ] 以儲存變更：
| 屬性 |
數值 |
| Display name |
ToDoList.ReadWrite.All |
| 允許的成員類型 |
應用程式 |
| 值 |
ToDoList.ReadWrite.All |
| 描述 |
允許應用程式使用 『ToDoListApi』 讀取和寫入每個使用者的 ToDo 清單 |
註冊您的桌面或行動應用程式
下列步驟示範如何在 Microsoft Entra 系統管理中心註冊您的應用程式：
以至少應用程式開發人員身分登入 Microsoft Entra 系統管理中心。
如果您有多個租使用者的存取權，請使用頂端功能表中的 [設定] 圖示，從 [目錄 + 訂用帳戶] 功能表切換至外部租使用者。
流覽至 [身分>識別應用程式> 應用程式註冊。
選取 + 新增註冊。
在出現的 [註冊應用程式] 頁面 中，輸入應用程式的註冊資訊：
在 [ 名稱 ] 區段中，輸入向應用程式用戶顯示的有意義應用程式名稱，例如 ciam-client-app。
在 [支援的帳戶類型] 底下，選取 [僅在此組織目錄中的帳戶]。
在 [重新導向 URI（選擇性）] 下，選取 [行動和桌面應用程式] 選項，然後在 [URL] 方塊中輸入具有唯一配置的 URI。 例如，電子桌面應用程式的重新導向 URI 看起來類似 http://localhost ，而 .NET 多平臺應用程式 UI （MAUI） 看起來類似 msal{ClientId}://auth。
選取註冊。
註冊完成時，會顯示應用程式的 [ 概觀] 窗格 。 記錄要用於應用程式原始碼的目錄（租使用者）標識碼和應用程式（用戶端）標識碼。
新增委派的許可權
從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app），以開啟其 [概觀] 頁面。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [Microsoft API] 索引 標籤。
在 [常用 Microsoft API] 區段底下，選取 [Microsoft Graph]。
選取 [委派的許可權] 選項。
在 [選取許可權] 區段下，搜尋並選取 openid 和 offline_access 許可權。
選取 [ 新增許可權] 按鈕。
此時，您已正確指派許可權。 不過，由於租用戶是客戶的租使用者，因此取用者使用者本身無法同意這些許可權。 身為系統管理員必須代表租使用者中的所有使用者同意這些許可權：
- 選取 [授與租用戶名稱>的<管理員同意]，然後選取 [是]。
- 選取 [重新整理]，然後確認 [為租用戶名稱>授與] <出現在這兩個範圍的 [狀態] 底下。
授與 API 權限 （選擇性）
如果您的行動應用程式需要呼叫 API，您必須授與行動應用程式 API 許可權，才能呼叫 API。 您也必須 註冊需要呼叫的 Web API 。
若要授與用戶端應用程式 （ciam-client-app） API 許可權，請遵循下列步驟：
從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app），以開啟其 [概觀] 頁面。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [Microsoft API] 索引 標籤。
在 [常用 Microsoft API] 區段底下，選取 [Microsoft Graph]。
選取 [委派的許可權] 選項。
在 [選取許可權] 區段下，搜尋並選取 openid 和 offline_access 許可權。
選取 [ 新增許可權] 按鈕。
在 [設定的許可權] 底下，再次選取 [新增許可權]。
選取 [我的組織使用的 API] 索引標籤。
在 API 清單中，選取 api，例如 ciam-ToDoList-api。
選取 [委派的許可權] 選項。
從許可權清單中，選取 [ToDoList.Read]、[ToDoList.ReadWrite ] （如有必要，請使用搜尋方塊）。
選取 [ 新增許可權] 按鈕。
此時，您已正確指派許可權。 不過，由於租用戶是客戶的租使用者，因此取用者使用者本身無法同意這些許可權。 若要解決此問題，身為系統管理員必須代表租使用者中的所有使用者同意這些許可權：
選取 [授與租用戶名稱>的<管理員同意]，然後選取 [是]。
選取 [重新整理]，然後確認 [為租用戶名稱>授與] <出現在這兩個範圍的 [狀態] 底下。
從 [設定的許可權] 清單中，選取 ToDoList.Read 和 ToDoList.ReadWrite 許可權，一次一個許可權，然後複製許可權的完整 URI 以供稍後使用。 完整權限 URI 看起來類似 api://{clientId}/{ToDoList.Read} 或 api://{clientId}/{ToDoList.ReadWrite}。
註冊精靈應用程式
下列步驟示範如何在 Microsoft Entra 系統管理中心註冊精靈應用程式：
以至少應用程式開發人員身分登入 Microsoft Entra 系統管理中心。
如果您有多個租使用者的存取權，請使用頂端功能表中的 [設定] 圖示，從 [目錄 + 訂用帳戶] 功能表切換至外部租使用者。
流覽至 [身分>識別應用程式> 應用程式註冊。
選取 + 新增註冊。
在出現的 [註冊應用程式] 頁面 中，輸入應用程式的註冊資訊：
在 [ 名稱 ] 區段中，輸入將向用戶顯示有意義的應用程式名稱，例如 ciam-client-app。
在 [支援的帳戶類型] 底下，選取 [僅在此組織目錄中的帳戶]。
選取註冊。
註冊完成時，會顯示應用程式的 [ 概觀] 窗格 。 記錄要用於應用程式原始碼的目錄（租使用者）標識碼和應用程式（用戶端）標識碼。
授與 API 許可權
精靈應用程式會使用 OAuth 2.0 用戶端認證流程自行登入。 您可以授與應用程式許可權（應用程式角色），這是驗證為本身的應用程式所需的許可權。 您也必須 註冊精靈應用程式需要呼叫的 Web API 。
從 [應用程式註冊] 頁面中，選取您建立的應用程式，例如 ciam-client-app。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [我的組織使用的 API] 索引標籤。
在 API 清單中，選取 api，例如 ciam-ToDoList-api。
選取 [應用程式許可權] 選項。 我們會選取此選項，因為應用程式會以本身身分登入，而不是使用者。
從許可權清單中，選取 [TodoList.Read.All]、[ToDoList.ReadWrite.All ] （如有必要，請使用搜尋方塊）。
選取 [ 新增許可權] 按鈕。
此時，您已正確指派許可權。 不過，由於精靈應用程式不允許使用者與其互動，因此使用者本身無法同意這些許可權。 若要解決此問題，身為系統管理員必須代表租使用者中的所有使用者同意這些許可權：
- 選取 [授與租用戶名稱>的<管理員同意]，然後選取 [是]。
- 選取 [重新整理]，然後確認 [為租用戶名稱>授與] <出現在這兩個許可權的 [狀態] 底下。
註冊 Microsoft Graph API 應用程式
若要讓應用程式使用 Microsoft Entra 登入使用者，您必須知道您建立的應用程式 Microsoft Entra 外部 ID。 應用程式註冊會建立應用程式與 Microsoft Entra 之間的信任關係。 當您註冊應用程式時，外部標識符會產生稱為應用程式的唯一 標識碼（用戶端）標識碼，這個值可用來在建立驗證要求時識別您的應用程式。
下列步驟示範如何在 Microsoft Entra 系統管理中心註冊您的應用程式：
以至少應用程式開發人員身分登入 Microsoft Entra 系統管理中心。
如果您有多個租使用者的存取權，請使用頂端功能表中的 [設定] 圖示，從 [目錄 + 訂用帳戶] 功能表切換至外部租使用者。
流覽至 [身分>識別應用程式> 應用程式註冊]。
選取 + 新增註冊。
在出現的 [ 註冊應用程式 ] 頁面中;
- 輸入向應用程式用戶顯示的有意義應用程式名稱，例如 ciam-client-app。
- 在 [支援的帳戶類型] 底下，選取 [僅在此組織目錄中的帳戶]。
選取註冊。
應用程式 [ 概觀 ] 窗格會在成功註冊時顯示。 記錄應用程式 （用戶端） 識別碼，以用於您的應用程式原始程式碼。
將 API 存取權授與您的應用程式
若要讓應用程式存取 Microsoft Graph API 中的數據，請授與已註冊的應用程式相關應用程式許可權。 應用程式的有效許可權是許可權所隱含的完整許可權層級。 例如，若要建立、讀取、更新及刪除外部租使用者中的每個使用者，請新增User.ReadWrite.All許可權。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [ Microsoft API] 索引 標籤，然後選取 [Microsoft Graph]。
選取應用程式權限。
展開適當的許可權群組，然後選取許可權的複選框，以授與管理應用程式。 例如：
User.ReadWrite.All>：適用於使用者移轉或使用者管理案例。
Group.ReadWrite.All>：用於建立群組、讀取和更新群組成員資格，以及刪除群組。
AuditLog>AuditLog.Read.All：用於讀取目錄的稽核記錄。
原則 Policy.ReadWrite.TrustFramework>：適用於持續整合/持續傳遞 （CI/CD） 案例。 例如，使用 Azure Pipelines 進行自定義原則部署。
選取新增權限。 依照指示，請稍候幾分鐘，再繼續進行下一個步驟。
選取 [授與管理員同意] （您的租用戶名稱）。
如果您目前未登入，請使用外部租使用者中至少獲指派雲端應用程式 管理員 istrator 角色的帳戶登入，然後選取 [授與系統管理員同意] 作為 [租使用者名稱]。
選取 [重新整理]，然後確認 [已為 ... 授與]會出現在 [狀態] 底下。 可能需要幾分鐘的時間才能傳播許可權。
註冊應用程式之後，您必須將客戶端密碼新增至應用程式。 此客戶端密碼將用來驗證您的應用程式來呼叫 Microsoft Graph API。
建立用戶端密碼
為已註冊的應用程式建立用戶端密碼。 應用程式會在要求令牌時，使用用戶端密碼來證明其身分識別。
- 從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app）以開啟其 [概觀] 頁面。
- 在 [管理] 下，選取 [憑證和密碼]。
- 選取 [新用戶端密碼]。
- 在 [ 描述 ] 方塊中，輸入用戶端密碼的描述（例如 ciam 應用程式用戶端密碼）。
- 在 [到期日] 底下，選取密碼有效的持續時間（根據您的組織安全性規則），然後選取 [新增]。
- 記錄祕密的 [值]。 您將會在稍後的步驟中使用此值進行設定。 在您離開 憑證和秘密之後，秘密值不會再次顯示，而且無法透過任何方式擷取。 請確定您記錄它。
註冊原生驗證應用程式
若要讓應用程式能夠使用 Microsoft Entra 登入使用者，Microsoft Entra 外部 ID 必須知道您建立的應用程式。 應用程式註冊會建立應用程式與 Microsoft Entra 之間的信任關係。 當您註冊應用程式時，外部標識符會產生稱為應用程式的唯一 標識碼（用戶端）標識碼，這個值可用來在建立驗證要求時識別您的應用程式。
下列步驟示範如何在 Microsoft Entra 系統管理中心註冊您的應用程式：
以至少應用程式開發人員身分登入 Microsoft Entra 系統管理中心。
如果您有多個租使用者的存取權，請使用頂端功能表中的 [設定] 圖示，從 [目錄 + 訂用帳戶] 功能表切換至外部租使用者。
流覽至 [身分>識別應用程式> 應用程式註冊。
選取 + 新增註冊。
在出現的 [ 註冊應用程式 ] 頁面中;
- 輸入向應用程式用戶顯示的有意義應用程式名稱，例如 ciam-client-app。
- 在 [支援的帳戶類型] 底下，選取 [僅在此組織目錄中的帳戶]。
選取註冊。
應用程式 [ 概觀 ] 窗格會在成功註冊時顯示。 記錄應用程式 （用戶端） 識別碼，以用於您的應用程式原始程式碼。
新增委派的許可權
此應用程式會登入使用者。 您可以遵循下列步驟，將委派的許可權新增至其中：
從 [應用程式註冊] 頁面中，選取您建立的應用程式（例如 ciam-client-app），以開啟其 [概觀] 頁面。
在 [管理] 之下選取 [API 權限]。
在 [已設定的權限] 底下，選取 [新增權限]。
選取 [Microsoft API] 索引 標籤。
在 [常用 Microsoft API] 區段底下，選取 [Microsoft Graph]。
選取 [委派的許可權] 選項。
在 [選取許可權] 區段下，搜尋並選取 openid 和 offline_access 許可權。
選取 [ 新增許可權] 按鈕。
此時，您已正確指派許可權。 不過，由於租用戶是客戶的租使用者，因此取用者使用者本身無法同意這些許可權。 身為系統管理員必須代表租使用者中的所有使用者同意這些許可權：
- 選取 [授與租用戶名稱>的<管理員同意]，然後選取 [是]。
- 選取 [重新整理]，然後確認 [為租用戶名稱>授與] <出現在這兩個範圍的 [狀態] 底下。
啟用公用用戶端和原生驗證流程
若要指定此應用程式是公用用戶端，而且可以使用原生驗證，請啟用公用用戶端和原生驗證流程：
- 從 [應用程式註冊] 頁面中，選取您要啟用公用用戶端和原生驗證流程的應用程式註冊。
- 在 [管理] 底下，選取 [驗證]。
- 在 [進階設定] 下，允許公用用戶端流程：
- 針對 [ 啟用下列行動裝置和桌面流程 ] 選取 [ 是]。
- 針對 [ 啟用原生驗證]，選取 [ 是]。
- 選取 [儲存] 按鈕。
